FICHE CVE

CVE-2026-109365

Publiée le 2026-10-12 · Dernière modification le 2026-10-15

🇫🇷 EN BREF

Les nœuds Zcash utilisant des versions de Zebra antérieures à la 6.4.0 sont vulnérables à une attaque par épuisement des ressources. Un attaquant distant non authentifié peut envoyer des données de bloc falsifiées qui forcent le système à gaspiller des cycles CPU pour des vérifications de preuves inutiles, interrompant ainsi le processus de synchronisation de la blockchain pendant environ 67 secondes. Cette opération est relativement facile à exécuter via le réseau et ne nécessite aucun privilège particulier ni interaction de l'utilisateur.

CVSS 4.06.3 MOYENNE

Type de faiblesse

Vérification d'authenticité insuffisante · CWE-345

Publiée2026-10-12

Dernière modification2026-10-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Zebra before 6.4.0 contains an uncontrolled resource consumption vulnerability that allows unauthenticated peers to force full proof verification by serving forged block bodies with valid header hashes. Attackers can flip authorizing-only bytes such as a coinbase scriptSig, wasting Sapling, Orchard, and Ironwood proof verification without penalty and stalling sync for 67 seconds.